Kişisel veriler, bir bireyi doğrudan veya dolaylı olarak tanımlayan veya tanımlanmasını mümkün kılan her türlü bilgiyi içerir. İsim, adres, doğum tarihi, kimlik numarası, telefon numarası, e-posta adresi, sağlık bilgileri gibi bilgiler kişisel veriler arasında yer alır. Bu veriler, bireylerin kimliklerini ve mahremiyetlerini korumak için büyük bir önem taşır. Türkiye’de kişisel verilerin korunması amacıyla alınan önemli bir adım, 7 Nisan 2016 tarihinde yürürlüğe giren Kişisel Verilerin Korunması Kanunu‘dur (KVKK). Kanun, 2 nci maddede belirtilen kapsam içinde kişisel verileri işlenen gerçek kişilerin korunmasını amaçlar; ilgili kişi sıfatı Türk vatandaşlığı veya Türkiye’de yerleşik olma şartına bağlanmamıştır.
KVKK, kişisel verilerin işlenmesi, saklanması ve paylaşılmasıyla ilgili kuralları belirler. Kanun, kişisel verilerin hukuka uygun bir şekilde toplanmasını, işlenmesini ve korunmasını sağlamak için çeşitli yükümlülükler getirir. KVKK’nın temel amacı, kişisel verilerin hukuka uygun bir şekilde işlenmesini sağlamak ve kişisel verilere ilişkin hakların korunmasını temin etmektir. KVKK, kimliği belirli veya belirlenebilir gerçek kişilere ilişkin kişisel verileri korur. Gerçek veya tüzel kişiler, somut işleme faaliyetindeki rollerine göre veri sorumlusu ya da veri işleyen olabilir. Bu kanunun kapsamında aşağıdaki kişiler ve kurumlar yer almaktadır:
- Veri Sorumlusu: KVKK, kişisel verilerin işlenmesinde belirleyici rolü olan veri sorumlularını kapsar. Veri sorumlusu, kişisel verilerin nasıl işleneceğine ve hangi amaçlarla kullanılacağına karar veren, veri işleme süreçlerini yöneten gerçek veya tüzel kişidir. Örneğin bir şirket, müşteri verilerinin işlenme amaç ve vasıtalarını belirliyorsa veri sorumlusudur. Şirket içindeki tüzel kişiliği bulunmayan departmanlar bu nedenle ayrı bir veri sorumlusu hâline gelmez. Kamu kuruluşlarında da sıfat, ilgili kuruluşun hukuki statüsü ve işleme üzerindeki yetkileri incelenerek belirlenir.
- Veri İşleyen: KVKK, veri sorumlusunun talimatları doğrultusunda kişisel verileri işleyen kişileri de kapsar. Veri işleyen, veri sorumlusunun adına ve hesabına kişisel verileri işleyen gerçek veya tüzel kişidir. Örneğin, bir şirketin dışarıdan hizmet aldığı bir veri işleme merkezi veya bulut hizmet sağlayıcısı veri işleyen olarak kabul edilebilir.
- Veri Sahibi: KVKK, kişisel verileri olan gerçek kişileri de kapsar. İlgili kişi, kişisel verisi işlenen gerçek kişidir. Kanunun 11 inci maddesindeki haklara ilişkin başvurular, 13 üncü madde uyarınca veri sorumlusuna yöneltilir. Örneğin, bir şirketin müşterisi veya bir çalışanı veri sahibi olarak kabul edilir.
KVKK’nın Sağladığı Haklar ve Yükümlülükler
KVKK, veri sahiplerine çeşitli haklar tanımaktadır. Bu hakları öğrenebilmek için ve İzmir avukat arayışınız için bizimle iletişime geçebilirsiniz. Bunlar arasında aşağıdakiler yer almaktadır:
- Bilgilendirme Hakkı: Veri sahibine, kişisel verilerinin hangi amaçla işlendiği, kimlere aktarıldığı, hangi yöntemlerle toplandığı gibi bilgilerin sağlanması hakkı verilir.
- Erişim Hakkı: Veri sahibine, kişisel verilerine erişim hakkı tanınır. Bu sayede veri sahibi, kişisel verilerinin hangi amaçlarla işlendiğini ve kimlere aktarıldığını öğrenebilir.
- Düzeltme Hakkı: Veri sahibi, kişisel verilerinde yanlışlık veya eksiklik bulunması durumunda, bu verilerin düzeltilmesini talep edebilir.
- Silme Hakkı: Veri sahibi, kişisel verilerinin işlenmesini gerektiren sebepler ortadan kalktığında veya kişisel verilerin hukuka aykırı bir şekilde işlendiği durumlarda, bu verilerin silinmesini talep edebilir.
- İtiraz Hakkı: İlgili kişi, işlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi sonucunda kendisi aleyhine bir sonucun ortaya çıkmasına itiraz edebilir. Diğer talepler bakımından Kanunun 11, 13 ve 14 üncü maddelerindeki başvuru ve şikâyet yolları ayrıca değerlendirilir.
KVKK aynı zamanda veri sorumlularına da çeşitli yükümlülükler getirmektedir. Bu yükümlülükler arasında aşağıdakiler bulunmaktadır:
- Aydınlatma Yükümlülüğü: Veri sorumlusu, veri sahibini kişisel verilerin işlenmesiyle ilgili olarak aydınlatmakla yükümlüdür. Aydınlatma metni aracılığıyla veri sahibine gerekli bilgilerin sağlanması gerekmektedir.
- İşleme Şartları: Kişisel veri işleme faaliyeti için Kanunun 5 inci maddesindeki şartlardan biri bulunmalıdır. Özel nitelikli kişisel verilerde ise 6 ncı maddenin üçüncü fıkrasındaki şartlar ayrıca değerlendirilir. Açık rıza tek hukuki dayanak değildir; genel bir kamu yararı gerekçesi de kendiliğinden bütün veri işlemelerini hukuka uygun kılmaz.
- Veri Güvenliği: Veri sorumlusu, kişisel verilerin güvenliğini sağlamak için gerekli önlemleri almak zorundadır. Veri koruma politikaları, veri güvenliği protokolleri ve teknik tedbirler gibi önlemler alınmalıdır.
- Veri İhlallerinin Bildirilmesi: Veri sorumlusu, olası bir veri ihlali durumunda, ilgili mercilere ve veri sahiplerine gerekli bildirimleri yapmakla yükümlüdür.
Kişisel Verilerin Korunması Kanunu’na Uymayan Durumlarda Hangi Yaptırımlar Uygulanır?
Kişisel verilerin korunması kanunu cezası aşağıdaki hallerde verilebilir:
- Aydınlatma Yükümlülüğünün İhlali: Veri sorumlusu, kişisel verilerin işlenmesiyle ilgili olarak gerekli aydınlatma sağlamaz veya eksik veya yanıltıcı bilgi verirse, KVKK’ya aykırı davranmış olur. Bu durumda, Kişisel Verileri Koruma Kurumu (KVKK) tarafından veri sorumlusuna uyarı, idari para cezası veya diğer yaptırımlar uygulanabilir.
- Hukuka Aykırı İşleme: Somut faaliyet için 5 inci veya 6 ncı maddede öngörülen geçerli bir işleme şartı bulunmalıdır. Açık rıza dışındaki bir şart mevcutsa ayrıca rıza alınmaması tek başına ihlal oluşturmaz. Yaptırım, fiilin niteliğine göre Kanunun 17 ve 18 inci maddeleri ile ilgili ceza hükümleri kapsamında değerlendirilir.
- Veri Güvenliğinin İhlali: Veri sorumlusu, kişisel verilerin güvenliğini sağlamakla yükümlüdür. Eğer veri sorumlusu, gerekli teknik ve organizasyonel önlemleri almaz veya veri güvenliğini sağlamak için gerekli standartları karşılamazsa, KVKK’ya aykırı davranmış olur. Bu durumda KVKK, veri sorumlusuna uyarı, idari para cezası veya diğer yaptırımlar uygulayabilir.
- Veri İhlallerinin Bildirilmemesi: KVKK, veri ihlallerinin bildirilmesini zorunlu kılar. Eğer bir veri sorumlusu, veri ihlallerini gerekli şekilde bildirmez veya gecikmeli olarak bildirirse, KVKK’ya aykırı davranmış olur. Bu durumda KVKK, veri sorumlusuna uyarı, idari para cezası veya diğer yaptırımlar uygulayabilir.
KVKK’ya uymayan durumların yaptırımları KVKK tarafından belirlenir ve Kişisel verilerin korunması kanunu cezası için verilecek yaptırımları içerir. Bu yaptırımlar, ihlalin niteliğine, ölçeğine ve tekrarlanma durumuna göre değişebilir. Ayrıca, kişisel verilerin korunmasıyla ilgili diğer mevzuat hükümleri de uygulanabilir. Böylesi durumlarla karşılaşmamak için bilişim suçları avukatı İzmir için bizimle iletişime geçebilirsiniz.